DATABEHANDLERAFTALE Tillæg til Aftale om brug af Sport Solution A/S administrationssystem

Transkript

1 DATABEHANDLERAFTALE Tillæg til Aftale om brug af Sport Solution A/S administrationssystem Denne databehandleraftale er et tillæg til den mellem Parterne indgåede Aftale om brug af Sport Solution A/S administrationssystem, og udgør en integreret del af det fremtidige aftalegrundlag mellem Parterne. Der indgås hermed følgende databehandleraftale ("Aftalen") mellem "Kunden" (den juridiske enhed der benævnes Kunden i Aftalen om Sport Solution A/S) og Sport Solution A/S, CVR: , Søren Frichs Vej 42B, 3.sal, 8230 Åbyhøj ("Leverandøren"), der samlet benævnes "Parterne" og separat en "Part": 1 Aftalens omfang 1.1 Leverandøren er databehandler for Kunden, idet Leverandøren varetager de i Appendiks 1 beskrevne databehandlingsopgaver for Kunden. 1.2 De personoplysninger, der behandles af Leverandøren, formålene med behandlingen, kategorierne af personoplysninger og kategorierne af registrerede personer, er anført i Appendiks Aftalen regulerer alene den behandling af personoplysninger, som Leverandøren foretager for Kunden. 1.4 Ved "personoplysning" forstås enhver form for information om en identificeret eller identificerbar fysisk person, jf. artikel 4(1) i Forordning (EU) 2016/679 af 27. april 2016 ("Persondataforordningen"). 2 Behandling af personoplysninger 2.1 Leverandøren behandler alene personoplysninger efter instruks fra Kunden. 2.2 Instruks: Leverandøren er instrueret i alene at behandle personoplysningerne med det formål at varetage de i Appendiks 1 fastsatte databehandlingsopgaver. Leverandøren må ikke behandle eller anvende personoplysningerne til andre formål end angivet i instruksen, herunder overføre personoplysningerne til et tredjeland eller en international organisation, medmindre Leverandøren er forpligtet hertil efter EU-retten eller lovgivningen i en medlemsstat, som Leverandøren er underlagt. I givet fald skal Leverandøren skriftligt underrette Kunden om denne juridiske forpligtelse, forinden behandlingen påbegyndes, medmindre pågældende lovgivning på baggrund af vigtige samfundsinteresser forbyder en sådan underretning. 2.3 Hvis Leverandøren skønner, at en instruktion fra Kunden er i strid med Persondataforordningen, databeskyttelseslovgivningen i anden EU-ret eller i lovgivningen i en medlemsstat, skal Leverandøren skriftligt orientere Kunden herom. 2.4 Kunden garanterer over for Leverandøren for, at denne har fornøden ret til at behandle personoplysninger omfattet af Aftalen og til at lade Leverandøren behandle disse personoplysninger på vegne af sig, herunder men ikke begrænset til ved indsamling af relevante samtykker. 3 Krav til Leverandøren 3.1 Leverandøren skal behandle personoplysninger i overensstemmelse med gældende dansk persondatalovgivning, herunder Persondataforordningen, når denne træder i kraft. 3.2 Leverandøren skal sikre, at de personer, der er autoriseret til at behandle personoplysningerne, har forpligtet sig til fortrolighed eller er underlagt en passende lovbestemt tavshedspligt. 3.3 Leverandøren skal gennemføre de passende tekniske og organisatoriske sikkerhedsforanstaltninger mod, at de behandlede personoplysninger (i) hændeligt eller ulovligt tilintetgøres, fortabes eller ændres, (ii) videregives eller gøres tilgængelige uden autorisation, eller (iii) i øvrigt behandles i strid med lovgivningen, herunder Persondataforordningen. 3.4 Leverandøren skal endvidere overholde de lovgivningsmæssige krav til sikkerhedsforanstaltninger, som direkte forpligter Leverandøren, herunder kravene til sikkerhedsforanstaltninger i det land, hvor Leverandøren er etableret, eller i det land, hvor databehandlingen finder sted.

2 3.5 Fastsættelsen af de passende tekniske og organisatoriske sikkerhedsforanstaltninger skal ske under hensyntagen til (i) det aktuelle tekniske niveau (ii) omkostningerne ved implementeringen, samt (iii) behandlingens karakter, omfang, sammenhæng og formål samt risiciene af varierende sandsynlighed og alvor for fysiske personers rettigheder og frihedsrettigheder. 3.6 Leverandøren skal på Kundens rimelige anmodning give Kunden alle nødvendige oplysninger til, at denne kan påse, at Leverandørens forpligtelser i henhold til Aftalen overholdes, herunder at de fornødne og rimelige tekniske og organisatoriske sikkerhedsforanstaltninger er truffet. 3.7 Kunden har ret til for egen regning at udpege en uafhængig ekspert, som skal have adgang til de dele af Leverandørens fysiske faciliteter, hvor behandling af personoplysninger finder sted, samt modtage de nødvendige informationer til udførelsen af undersøgelsen af, hvorvidt Leverandøren har gennemført de nævnte tekniske og organisatoriske sikkerhedsforanstaltninger. Kundens uafhængige ekspert kan ikke opnå adgang til oplysninger om Leverandørens generelle omkostningsstruktur eller til oplysninger, der vedrører andre af Leverandørens kunder. Eksperten skal på Leverandørens anmodning underskrive en sædvanlig fortrolighedserklæring og skal under alle omstændigheder behandle enhver information indhentet hos eller modtaget fra Leverandøren fortroligt, og må alene dele informationen med Kunden. Kunden må ikke viderebringe informationen eller benytte informationen til andre formål end at vurdere hvor vidt, Leverandøren har truffet de fornødne tekniske og organisatoriske sikkerhedsforanstaltninger. 3.8 Leverandøren skal uden unødig forsinkelse efter at være blevet opmærksom herpå, skriftligt orientere Kunden om (i) enhver anmodning fra en myndighed om videregivelse af personoplysninger omfattet af Aftalen, medmindre orientering af Kunden er forbudt i henhold til EU-retten eller lovgivningen i en stat, som Leverandøren er underlagt, (ii) enhver mistanke om, eller konstatering af, (a) brud på sikkerheden, der fører til hændelig eller ulovlig tilintetgørelse, tab, ændring, uautoriseret videregivelse af eller adgang til personoplysninger, der er transmitteret, opbevaret eller på anden måde behandlet af Leverandøren i henhold til Aftalen, eller (b) enhver anden manglende overholdelse af Leverandørens forpligtelser efter punkt 3.3 og 3.4, eller (iii) enhver anmodning om indsigt i personoplysningerne modtaget direkte fra den registrerede eller fra tredjemand. 3.9 Det er alene Kundens ansvar som dataansvarlig, at forestå den praktiske sletning af registrering eller ændring af registreringer vedrørende Kundens medlemmer. Kunden opfordres som dataansvarlig til, at medlemmer der opsiger deres medlemskab hos Kunden, bliver slettet umiddelbart efter at medlemmet har afsluttet sit medlemskab. Ansvaret for denne sletning af data ligger alene hos Kunden og Leverandøren kan ikke holdes ansvarlig herfor. Leverandøren kan ikke holdes ansvarlig for nogen former for registreringer som Kunden foretager omkring sine medlemmer, herunder oplysninger om medlemmets race, strafferetslige oplysninger, seksuel orientering, helbredsoplysninger m.v. Kunden gøres opmærksom på, at registrering af sådanne oplysninger vil kræve medlemmets ubetingede samtykke Leverandøren skal i rimeligt omfang assistere Kunden med håndteringen af anmodninger fra en registreret i henhold til kapitel III i Persondataforordningen, herunder anmodning om indsigt, berigtigelse, blokering eller sletning Leverandøren skal i rimeligt omfang assistere Kunden med at sikre overholdelse af Kundens forpligtelser i medfør af artikel i Persondataforordningen, samt øvrige forpligtelser, der måtte påhvile Kunden efter EU-retten eller lovgivningen i en medlemsstat, hvor Leverandørens assistance er forudsat, dog alene i det omfang Leverandørens assistance er nødvendig for, at Kunden kan overholde sine forpligtelser. Dette omfatter blandt andet, på anmodning at give Kunden alle nødvendige oplysninger om en hændelse omfattet af punkt 3.9 (ii), samt alle nødvendige oplysninger til brug for en konsekvensanalyse i medfør af artikel i Persondataforordningen i det omfang, Leverandøren har adgang til sådan information Kunden honorerer Leverandøren særskilt og efter medgået tid og materiale for at håndtere forespørgsler og opgaver i henhold til Aftalens pkt. 3.6, 3.7, 3.8 (i) og (iii), 3.10, 3.11, 7.4 og 7.5. Honoreringen fastsættes efter Leverandørens til enhver tid gældende prisliste. 4 Underdatabehandlere 4.1 Leverandøren må gøre brug af underdatabehandlere. På tidspunktet for indgåelsen af Aftalen anvender Leverandøren de i Appendiks 2 anførte underdatabehandlere. Leverandøren skal skriftligt underrette Kunden om eventuelle planlagte ændringer vedrørende tilføjelse eller erstatning af underdatabehandlere senest 2 måneder inden ændringen træder i kraft, hvorefter Kunden inden 2 uger fra afgivelsen af meddelelsen om ændringen uden begrundelse kan nægte brugen af den nye underdatabehandler, i hvilket tilfælde Leverandøren er berettiget til at opsige alle aftaler med Kunden, i henhold til hvilke Leverandøren behandler personoplysninger for Kunden, med det varsel som er aftalt ved indgåelse af den gældende Aftale. 4.2 Leverandøren skal forinden brug af en underdatabehandler indgå en skriftlig aftale med underdatabehandleren, hvori underdatabehandleren som minimum pålægges forpligtelser svarende til de som Leverandøren har påtaget sig ved Aftalen, herunder pligten til at gennemføre passende tekniske og organisatoriske foranstaltninger til sikring af, at behandlingen opfylder kravene i Persondataforordningen.

3 5 Fortrolighed 5.1 Leverandøren skal holde personoplysningerne fortrolige. 5.2 Leverandøren må ikke formidle personoplysningerne til tredjemand eller tage kopi af personoplysningerne, medmindre dette er nødvendigt til varetagelse af Leverandørens forpligtelser over for Kunden, forudsat at den, til hvem personoplysningerne overlades, er bekendt med oplysningernes fortrolige karakter og har indvilget i at holde personoplysningerne fortrolige i overensstemmelse med Aftalen, eller dette følger af en lovbestemt pligt for Leverandøren. 5.3 Leverandøren skal begrænse adgangen til personoplysningerne til de medarbejdere, for hvem det er nødvendigt at have adgang til personoplysninger for at kunne opfylde Leverandørens forpligtelser over for Kunden. 5.4 Leverandørens forpligtelser efter nærværende punkt 5 består uden tidsbegrænsning, og uanset om Parternes samarbejde i øvrigt måtte være ophørt. 5.5 Kunden skal behandle fortrolige oplysninger, som modtages fra Leverandøren, fortroligt, og må ikke uberettiget udnytte eller videregive de fortrolige oplysninger. 6 Ændringer og overdragelser 6.1 Aftalen kan ændres i henhold til Aftalen om Sport Solution A/S bestemmelser om ændringer. 6.2 Leverandøren kan overdrage sine rettigheder og forpligtelser i henhold til Aftalen uden Kundens samtykke, forudsat at den, til hvem rettigheder og/eller pligter overdrages, forpligtes til at behandle personoplysninger i overensstemmelse med de krav, der gælder for Leverandøren, i henhold til Aftalen. 7 Varighed og ophør af Aftalen 7.1 Aftalen træder i kraft på samme tidspunkt, som Aftalen om brug af Sport Solution er indgået og er gældende indtil Aftalen om brugen af Sport Solution ophører. 7.2 Hver Part kan opsige Aftalen efter samme vilkår, som er gældende for Aftalen om brug af Sport Solution. 7.3 Uanset Aftalens formelle aftaleperiode skal Aftalen vedblive at gælde, så længe Leverandøren behandler personoplysninger for Kunden, som Kunden er dataansvarlig for, dog alene for de personoplysninger som til enhver tid behandles for Kunden af Leverandøren. 7.4 I tilfælde af ophør af Aftalen er Leverandøren forpligtet til efter anmodning fra Kunden loyalt at medvirke til, at databehandlingen overgår til en anden leverandør eller tilbageføres til Kunden. 7.5 Leverandøren skal efter anmodning fra Kunden og ved ophør af aftalen overføre personoplysninger, som Leverandøren behandler og/eller har behandlet for Kunden, til kunden eller slette disse, medmindre EU-retten eller lovgivningen i en medlemsstat foreskriver opbevaring af personoplysningerne. En sådan overgivelse af data vil ske i et CSV format der er beskyttet med password. Der gøres specielt opmærksom på, at ved ophør af aftale mellem Kunden og Leverandøren om brug af Sport Solution, vil alle Kundens data omhandlende Kundens medlemmer blive slettet og at disse data ikke efterfølgende vil kunne genskabes. 8 Meddelelser 8.1 I det tilfælde en Part i henhold til Aftalen skal afgive skriftlig meddelelse til den anden Part, kan denne pligt opfyldes ved at afsende en til den anden Parts senest oplyste adresse. Leverandøren kan ligeledes opfylde sin pligt til at afgive skriftlig meddelelse ved at udsende nyheder direkte i systemet, som kunden har fået tildelt en licens til at benytte i henhold til Aftalen om Sport Solution. 9 Forrang 9.1 I tilfælde af uoverensstemmelse mellem bestemmelserne i Aftalen og bestemmelserne i andre skriftlige eller mundtlige aftaler indgået mellem Parterne, skal bestemmelserne i Aftalen have forrang

4 10 Samtykke 10.1 Kunden tiltræder med sin underskrift hermed nærværende databehandleraftale i sin helhed inklusive appendix 1 og 2. Kunden er indforstået med at aftalen er gældende indtil den skriftligt tilbagekaldes Kunden er berettiget til at tilbagekalde aftalen uden negative konsekvenser. Dog skal Kunden være opmærksom på, at ved en eventuel tilbagekaldelse, så vil Leverandøren ikke være i stand til at levere ydelser under aftalen om brug af Sport Solutions administrationssoftware herunder levering af support og service, idet dette vil kræve adgang til data på Kundens medlemmer, som vil være omfattet af databehandleraftalen. Sted: Hornslet Dato: 22/ Underskrift: Nærværende underskriftside bedes returneret til Sport Solution A/S i underskrevet stand før databehandleraftalen vil være gældende.

5 APPENDIKS 1 Dette Appendiks indeholder blandt andet Kundens instruks til Leverandøren i forbindelse med Leverandørens databehandling for Kunden og er en integreret del af Aftalen. Instruks og beskrivelse af behandlingen af personoplysninger i Sport Solution A/S Formål og karakteren af databehandlingen Formålet med at lade Leverandøren foretage databehandlingen er at lade Kunden anvende Sport Solution, der er et IT-system, som Kunden tilgår via internettet, og som er hostet og drevet af Leverandøren. Sport Solution A/S hjælper med at håndtere Kundens administration af Kundens medlemmer, administration af Kundens eventuelle dørsystemer, medlemsopkrævninger m.v. Dette indebærer også videregivelse af oplysninger til f.eks. Nets, PBS, DIBS, Danmarks Statistik m.fl. på Kundens vegne. Leverandøren virker som databehandler for Kunden, der er dataansvarlig, og Leverandøren handler efter instruks fra den dataansvarlige. Kategorier af registrerede personer I. Kundens potentielle medlemmer hvis Kunden indtaster information om disse i Sport Solution. II. Kundens nuværende medlemmer hvis Kunden indtaster information om disse i Sport Solution. III. Kundens fratrådte medlemmer hvis Kunden indtaster information om disse i Sport Solution. VI. Kundens potentielle, nuværende og tidligere medlemmer hvis medlemmet benytter Kundens adgang via Licens til medlemsoprettelse via Sport Solutions selvbetjenings systemer. Kategorier af personoplysninger For de ovenfor nævnte personkategorier, behandles navn, adresse, CPR-nummer og startdato. Derudover behandles oplysninger vedrørende de registreredes adresse, mobiltelefonnummer og eventuelt bankkontooplysninger. For personerne i kategori III og VI registreres tillige slutdato. Lokation(er), inklusive angivelse af land for behandlingen Søren Frichs Vej 42B, 3. sal 8230 Åbyhøj Danmark Congelton Road Gawsworth Cheshire, SK11 9ER England Videregivelse af data Leverandøren kan videregive persondata på vegne af Kunden som led i Leverandørens services til kunden, herunder eksempelvis til NETS, PBS, Danmarks Statistik m.fl. og andre 3. parts samarbejdspartnere. Herudover kan Kunden give udtrykkelig skriftlig tilladelse til at data videregives til 3. parts samarbejdspartnere og det er Kundens ansvar at disse samarbejdspartnere efterlever gældende lovgivning. Sport Solution A/S kan ikke holdes ansvarlige på nogen måde herfor. APPENDIKS 2 Brug af underdatabehandlere Leverandøren samarbejder med udvalgte underdatabehandlere, der muliggør levering af forskellige funktionaliteter i forbindelse med at levere administrationssoftware til Kunden. Disse underdatabehandlere er f.eks. men ikke udtømmende, E-gym, Peak Out m.fl.

6 ERKLÆRING OM UDLEVERING AF DATA OMFATTET AF PERSONDATALOVEN FIRMA NAVN: Hornslet IF (herefter benævnt Kunden) anmoder hermed Sport Solution A/S (herefter benævnt Leverandøren) om at foretaget udlevering af data vedrørende Kundens medlemmer til følgende 3. part: 3. parts navn :.. NETS A/S 3. parts navn :.. PBS 3. parts navn :.. Conventus Kunden er dataansvarlig i henhold til persondatalovgivningen mens Leverandøren agerer som databehandler i forhold til behandling af Kundens data omhandlende Kundens medlemmer. Kunden erklærer sig samtidigt indforstået med, at Leverandøren på ingen måde kan holdes ansvarlig for om denne overdragelse af data er berettiget, samt om de pågældende 3. parter overholder gældende persondatalovgivning. Leverandøren kan på ingen måde holdes ansvarlig for indholdet af de pågældende registreringer, overdragelsens gyldighed samt 3. partens behandling af de udleverede data. Udlevering af data sker alene på Kundens anmodning, idet at Kunden er dataansvarlig. Data udleveres til 3. part i et CSV format. Kunden erklærer sig med underskrift på nærværende dokument indforstået med, at Leverandøren fraskriver sig ethvert ansvar i forbindelse med udlevering af data vedrørende Kundens medlemmer. Dato: 27/04/2018 Underskrift:. FIRMA NAVN: Hornslet IF

7